Questão de Sistemas Operacionais — Geral — Quadrix 2026

Kerberos e Active Directory: autenticação centralizada

Gabarito: letra E (Errado). O Kerberos não elimina a necessidade de controladores de domínio adicionais; pelo contrário, ele depende de um serviço central de autenticação — o KDC (Key Distribution Center), que no Active Directory é implementado justamente pelos controladores de domínio. A autenticação no Kerberos é centralizada no KDC, não descentralizada entre os clientes, e é exatamente essa centralização que garante a segurança do protocolo.

O Kerberos é um protocolo de autenticação de rede desenvolvido pelo MIT na década de 1980, projetado para permitir que clientes e servidores se autentiquem mutuamente em uma rede não segura, usando criptografia simétrica e tickets com validade limitada. No modelo do Active Directory da Microsoft, o Kerberos é o protocolo de autenticação padrão, e o KDC (composto pelo Authentication Service — AS — e pelo Ticket Granting Service — TGS) é executado nos controladores de domínio. Isso significa que, longe de dispensar os controladores de domínio, o Kerberos os exige como peça central da infraestrutura de autenticação.

O funcionamento do Kerberos segue um fluxo bem definido: o cliente se autentica no AS (passo 1) e recebe um Ticket Granting Ticket (TGT) (passo 2); com o TGT, solicita ao TGS um ticket de acesso ao servidor desejado (passos 3 e 4); e, finalmente, apresenta esse ticket ao servidor para obter o serviço (passos 5 e 6). Todo esse processo depende do KDC, que armazena as chaves secretas de todos os clientes e servidores. Sem o KDC — ou seja, sem os controladores de domínio — não há como emitir tickets, e a autenticação simplesmente não ocorre.

A afirmação do enunciado inverte completamente a arquitetura do protocolo. A descentralização não é uma característica do Kerberos; pelo contrário, o protocolo foi criado para centralizar a autenticação em um serviço confiável, evitando que cada serviço precise validar senhas individualmente. É essa centralização que permite o single sign-on (SSO): o usuário autentica uma única vez no KDC e obtém tickets para acessar diversos serviços sem repetir a senha.

A pegadinha da banca está em sugerir que o Kerberos tornaria os controladores de domínio desnecessários, quando na verdade eles são o coração do sistema. O candidato que conhece apenas o nome do protocolo pode ser induzido a marcar "certo", mas quem entende o papel do KDC percebe imediatamente o erro. Guarde esta distinção: Kerberos = autenticação centralizada via KDC; controladores de domínio = implementação do KDC no Active Directory.

Item — ❌ ERRADO

A afirmação está errada por dois motivos fundamentais:

1. O Kerberos não descentraliza a autenticação — ele a centraliza no KDC. O protocolo foi projetado exatamente para que a autenticação ocorra por meio de um serviço central confiável, que emite tickets para os clientes. A descentralização entre os clientes seria um convite à insegurança, pois cada cliente teria que validar credenciais sem uma autoridade comum.

1. Os controladores de domínio são indispensáveis — no Active Directory, o KDC é executado nos controladores de domínio. Sem eles, não há emissão de tickets, não há autenticação Kerberos e não há acesso aos recursos do domínio. A afirmação de que o Kerberos "elimina completamente a necessidade de controladores de domínio adicionais" é duplamente falsa: nem elimina a necessidade deles, nem torna o processo descentralizado.

O erro conceitual central é confundir o Kerberos com um mecanismo de autenticação distribuída, quando ele é, na verdade, um mecanismo de autenticação centralizada. A banca explora exatamente essa inversão: apresenta a centralização como descentralização e o componente essencial (o controlador de domínio) como dispensável.

Gabarito: letra E (Errado).